バックアップがあるからといって、すぐ復元を始めるのも危険です。

攻撃者がまだネットワーク内にいる状態でバックアップを接続すると、

バックアップ接続
      ↓
攻撃者から見える
      ↓
バックアップまで削除・暗号化

となる可能性があります。

まず侵入経路と侵害範囲を調査します。

その後、安全な環境へ復旧します。

バックアップは「取る」だけでは足りない

ランサムウェア対策で最も重要な誤解の一つです。

本番サーバ
     │
     ↓
NASへバックアップ

だけでは安全とは限りません。

攻撃者からNASへアクセスできれば、

本番データ
    ×

バックアップ
    ×

という状態になる可能性があります。

警察庁は、バックアップまで暗号化される事例が多数あるとして、ネットワークから切り離したオフライン保存などを推奨しています。

考え方としては、

             ┌─ 通常バックアップ
本番データ ──┼─ 別環境バックアップ
             └─ オフライン等の保護されたコピー

と複数の層を持たせます。

さらに大切なのが復元テストです。

バックアップ成功
      ≠
復元成功

です。

警察庁も、日頃の運用上の問題からバックアップ復旧がうまくいかない事例があるとして、復旧手順を含む訓練を推奨しています。

ランサムウェアを防ぐ方法

対策は一つではありません。